你是不是也这样刷了三个月 B 站收藏夹里躺着 200 个视频却连一个靶场都没搭起来加了一堆学习群群里聊的全是段子和广告想找几篇高质量的漏洞分析搜出来的全是三四年前的老文章网上流传的那些黑客网站大全大多是十年前的老名单了——一半域名早就打不开另一半早就变了味。这篇文章是我把这两年亲测过、还在活跃更新的社区、靶场、工具、SRC 平台全部过了一遍之后重新整理的2026 版全网导航。不玩虚的每一行都经得起打开验证。建议先点赞收藏再慢慢看文末还有完整学习路线图和一份新手避坑指南。这份导航怎么用一共七大部分覆盖去哪逛 → 去哪练 → 用什么工具 → 去哪学 → 去哪实战 → 怎么规划 → 怎么避坑的完整闭环。新手建议按顺序从上往下看已经入门的可以直接跳到第五、六部分。一、高质量安全社区 / 论坛国内外精选混安全圈子最重要的一件事就是找到大牛都在哪说话然后去那儿泡着。技术分析帖、漏洞复现文章、行业风向全都藏在这些社区里。1.1 国内社区8 个亲测可访问平台一句话定位核心亮点适合谁看雪论坛老牌硬核技术社区逆向工程、二进制安全、加解密干货密度极高想深耕逆向/二进制的先知社区阿里云安全技术社区Web 安全实战文章质量高SRC 思路分享多Web 安全学习者FreeBuf网络安全行业媒体资讯 技术 招聘量大面广天天更新想了解行业动态的安全客安全媒体/漏洞分析0day 分析、APT 报告、技术专题关注漏洞情报的嘶吼安全产业媒体报道产业新闻、人才报告、技术科普全阶段尤其新手安全脉搏安全技术文章聚合高质量技术帖搬运原创适合集中刷喜欢看长文干货的火线Zone白帽技术社区社区氛围好SRC 与渗透实战经验多想交流实战经验的T00ls低调技术论坛大牛聚集地内容硬核邀请制注册有一定基础的进阶者1.2 国外社区4 个开眼界必备平台一句话定位核心亮点HackerOne Hacktivity全球最大漏洞赏金平台公开所有漏洞报告是绝佳的真实案例库The Hacker News国际安全新闻站全球漏洞、攻击事件一手资讯Reddit r/netsec海外安全讨论版技术讨论氛围浓紧跟前沿话题GitHub Security Lab开源安全研究组织漏洞披露 安全研究工具开源1.3 怎么逛才有收获3 条建议别当游客注册账号、关注几个活跃作者、把高质量文章收藏进自己的知识库而不是看完整页就关。带着问题逛今天想搞懂 XSS就搜 XSS 的实战分析帖看完顺手在靶场上复现一遍记忆深刻十倍。固定节奏每天 20 分钟1 个国内社区 1 个国外资讯站坚持一个月你的信息水位会明显涨一截。二、CTF 竞赛与在线靶场动手的地方光看不练假把式。CTF 和靶场就是你练习的练功房在真机环境里复现漏洞比看一百篇文章都管用。2.1 在线 CTF 平台7 个平台类型核心亮点BUUCTF国内综合 CTF 平台题目全、中文友好入门首选攻防世界国内 CTF 平台XCTF 联赛官方平台题目经典NSSCTF国内新锐 CTF 平台题目更新快紧跟比赛热点CTFHub国内 CTF 平台技能树式学习路径分类清晰HackTheBox国外渗透靶场真实环境模拟含红队路线需科学上网TryHackMe国外新手平台引导式教学从零到一的保姆级路径PicoCTF国外免费平台卡内基梅隆出品完全免费2.2 本地漏洞靶场6 个靶场覆盖漏洞说明DVWAWeb 漏洞全家桶老牌入门靶场难度可调PikachuWeb 漏洞练习中文界面新手友好Sqli-labsSQL 注入专项80 关注入练习圣经Upload-labs文件上传专项上传绕过专项练习Vulhub漏洞复现环境基于 Docker一键复现真实 CVEVulfocus在线漏洞复现漏洞复现聚合平台推荐学习姿势本地靶场用 Docker 一键拉起5 分钟一个环境# 一键拉起 DVWA经典 Web 靶场 docker run -d -p 80:80 vulnerables/web-dvwa # 拉取 Vulhub 全家桶真实 CVE 复现环境 git clone https://github.com/vulhub/vulhub.git cd vulhub/phpmyadmin/CVE-2016-5734 docker compose up -d2.3 CTF 刷题路径建议第 1 个月只刷 Web 方向配合 DVWA/Pikachu 打基础目标是看懂 WriteUp 里的每一步第 2-3 个月扩展 Crypto、Misc 两个方向这两个方向对新手友好、容易建立信心第 4 个月起尝试 Pwn 和 Reverse这两个方向是硬骨头但也是薪资上限最高的方向全程每周参加一次平台上的小型比赛或线上赛实战节奏感很重要。三、渗透测试必备工具附安装命令工具不在多在于精。下面这 7 个覆盖了信息收集、漏洞扫描、漏洞利用、抓包改包的全流程够用三年。3.1 工具清单工具用途获取方式Kali Linux渗透测试操作系统工具全家桶kali.org 官网下载Nmap端口扫描、服务识别Kali 自带Burp SuiteWeb 抓包、改包、扫描portswigger.netSQLMapSQL 注入自动化检测利用sqlmap.orgMetasploit漏洞利用框架Kali 自带 / GitHubYakit国产 Burp 平替开源免费yaklang.iofscan内网资产快速探测GitHub 开源3.2 Kali 换国内源新手第一件事装完 Kali 第一件事就是换源否则apt update能卡到你怀疑人生# 备份源文件 sudo cp /etc/apt/sources.list /etc/apt/sources.list.bak # 替换为清华源 echo deb http://mirrors.tuna.tsinghua.edu.cn/kali kali-rolling main non-free contrib | sudo tee /etc/apt/sources.list # 更新 sudo apt update sudo apt upgrade -y3.3 Yakit 安装国产神器强烈推荐# 官方一键安装脚本 bash (curl -sS -L http://oss.yaklang.io/install-latest-yak.sh)3.4 合规扫描演示只扫自己搭建的靶场# 扫描本地靶场仅限自己环境 nmap -sV -sC 127.0.0.1 # SQLMap 打本地 Sqli-labs 靶场 sqlmap -u http://127.0.0.1/sqli-labs/Less-1/?id1 --batch --dbs红线提醒以上命令只允许在自己的靶场、本地环境中使用。未经授权扫描或攻击任何他人系统都是违法行为轻则封号赔偿重则刑事处罚。3.5 工具学习顺序建议别想着一口气全部装完学会。按这个顺序逐个击破先装 Kali把 Nmap 玩熟端口扫描 → 服务识别 → 漏洞脚本再学 Burp Suite抓包、改包、重放Web 渗透核心中的核心然后学 SQLMap配合 Sqli-labs 靶场理解自动化背后的原理最后碰 Metasploit 和 Yakit框架类工具需要一定基础再上手fscan 等内网工具留到内网渗透阶段再用。四、免费学习资源视频 书籍别再乱花钱4.1 免费视频/文档资源资源类型说明B 站搜索渗透测试入门视频大量免费体系课选播放量高、更新近的看OWASP 官方文档文档Top 10 漏洞的权威定义必读Kali 官方文档文档每个工具都有官方用法说明菜鸟教程文档Python、Linux、SQL 基础速查各大厂商安全博客博客奇安信、阿里云、腾讯安全实验室的深度分析看视频的正确姿势不是看是跟着敲。每看一集就暂停自己动手操作一遍输出一篇笔记。看完 50 集跟练视频你就能超过 90% 只收藏不练的人。4.2 经典书单纸质/电子版任选书名一句话点评《白帽子讲 Web 安全》安全圈必读启蒙书Web 安全世界观《Web 安全深度剖析》漏洞原理讲得透配合靶场食用最佳《代码审计企业级 Web 代码安全架构》从源码层面理解漏洞进阶必读《内网安全攻防渗透测试实战指南》内网渗透从入门到实战《Metasploit 渗透测试魔鬼训练营》框架类工具实战经典书不在多一本吃透胜过十本翻完。建议每个阶段只配 1 本书 1 个靶场 1 个项目学完再换。五、漏洞赏金与 SRC 平台副业 简历加分项技术练到一定程度就可以去 SRC安全应急响应中心平台实战了。既练技术又有现金奖励还能写进简历。平台定位特点补天漏洞平台国内知名 SRC 平台厂商众测项目多白帽聚集漏洞盒子国内 SRC 平台众测 漏洞收录企业项目丰富CNVD 国家漏洞库国家级漏洞平台提交原创漏洞可拿证书含金量高各大厂商 SRC奇安信/阿里/腾讯/字节等自家产品漏洞奖励丰厚HackerOne国际最大赏金平台全球顶级厂商项目美元结算Bugcrowd国际赏金平台项目多、覆盖广新手路径建议先用 CTF 和靶场练熟基础漏洞类型XSS、SQL 注入、越权到 SRC 平台挑奖励低、竞争小的项目练手别一上来就死磕大厂从低危报告开始交先学会写一份规范的报告复现步骤、危害、修复建议全程严格遵守平台规则只测授权范围内的资产。六、2026 完整学习路线建议直接保存下面是整理好的六阶段学习路线从零基础一路到实战就业每阶段配好靶场和项目照着走就不会迷路阶段 0前置基础约 1-2 个月计算机基础、Linux 系统、网络协议TCP/IP、HTTP、Python 编程、数据库基础。这个阶段最容易放弃但也是最重要的地基。不用学精但要学通——尤其 Linux 和网络协议后面每个阶段都要用。阶段 1Web 安全入门约 2-3 个月OWASP Top 10 逐个击破XSS、CSRF、SQL 注入、SSRF、XXE、文件上传/包含、逻辑漏洞。配合 DVWA Pikachu 靶场每个漏洞类型亲手打一遍再进入下一个。阶段 2工具与靶场实战约 2 个月Burp Suite、Nmap、SQLMap、MSF、Yakit 逐个玩熟用 Vulhub 复现 10 个经典 CVECTF 平台每天刷 2-3 题。这个阶段结束后你应该能独立完成一个靶场的完整渗透流程并写出规范的报告。阶段 3渗透测试进阶约 3 个月内网渗透、域渗透、提权技术、免杀与对抗、流量/日志分析、应急响应。阶段 4方向分化约 2 个月根据兴趣和就业市场选方向红队渗透 / 蓝队安全运营 / 安全开发与代码审计 / 移动、工控、云安全 / 漏洞挖掘与 SRC。阶段 5实战与就业持续进行参加护网行动、SRC 持续挖洞、优化简历和面试题、考取行业认证CISP/NISP 等。七、新手避坑指南血泪总结收藏 ≠ 学会收藏夹吃灰是最大的坑。每收藏一个资源就给自己定一个三天内看完并输出笔记的 KPI。拒绝光看不练看一百个 Nmap 教程不如自己扫一次靶场。环境永远是练出来的。一定要搭自己的靶场一台电脑 DockerDVWA、Vulhub 全搞定这是你未来一年的练功房。建立正反馈从 SRC 低危漏洞开始交报告第一笔赏金、第一张 CNVD 证书会让你越学越有劲。红线意识只在授权范围内测试坚决不碰黑产、不做灰产。技术没有原罪用的人有。网络安全的知识多而杂怎么科学合理安排下面给大家总结了一套适用于网安零基础的学习路线应届生和转行人员都适用学完保底6k就算你底子差如果能趁着网安良好的发展势头不断学习日后跳槽大厂、拿到百万年薪也不是不可能初级黑客1、网络安全理论知识2天①了解行业相关背景前景确定发展方向。②学习网络安全相关法律法规。③网络安全运营的概念。④等保简介、等保规定、流程和规范。非常重要2、渗透测试基础一周①渗透测试的流程、分类、标准②信息收集技术主动/被动信息搜集、Nmap工具、Google Hacking③漏洞扫描、漏洞利用、原理利用方法、工具MSF、绕过IDS和反病毒侦察④主机攻防演练MS17-010、MS08-067、MS10-046、MS12-20等3、操作系统基础一周①Windows系统常见功能和命令②Kali Linux系统常见功能和命令③操作系统安全系统入侵排查/系统加固基础4、计算机网络基础一周①计算机网络基础、协议和架构②网络通信原理、OSI模型、数据转发流程③常见协议解析HTTP、TCP/IP、ARP等④网络攻击技术与网络安全防御技术⑤Web漏洞原理与防御主动/被动攻击、DDOS攻击、CVE漏洞复现5、数据库基础操作2天①数据库基础②SQL语言基础③数据库安全加固6、Web渗透1周①HTML、CSS和JavaScript简介②OWASP Top10③Web漏洞扫描工具④Web渗透工具Nmap、BurpSuite、SQLMap、其他菜刀、漏扫等恭喜你如果学到这里你基本可以从事一份网络安全相关的工作比如渗透测试、Web 渗透、安全服务、安全分析等岗位如果等保模块学的好还可以从事等保工程师。薪资区间6k-15k到此为止大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗想要入坑黑客网络安全的朋友给大家准备了一份282G全网最全的网络安全资料包免费领取网络安全学习路线学习资源7、脚本编程初级/中级/高级在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中面对复杂多变的网络环境当常用工具不能满足实际需求的时候往往需要对现有工具进行扩展或者编写符合我们要求的工具、自动化脚本这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中想要高效地使用自制的脚本工具来实现各种目的更是需要拥有编程能力.零基础入门建议选择脚本语言Python/PHP/Go/Java中的一种对常用库进行编程学习搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP IDE强烈推荐Sublime·Python编程学习学习内容包含语法、正则、文件、 网络、多线程等常用库推荐《Python核心编程》不要看完·用Python编写漏洞的exp,然后写一个简单的网络爬虫·PHP基本语法学习并书写一个简单的博客系统熟悉MVC架构并试着学习一个PHP框架或者Python框架 (可选)·了解Bootstrap的布局或者CSS。8、高级黑客这部分内容对零基础的同学来说还比较遥远就不展开细说了贴一个大概的路线。网络安全工程师企业级学习路线很多小伙伴想要一窥网络安全整个体系这里我分享一份打磨了4年已经成功修改到4.0版本的**《平均薪资40w的网络安全工程师学习路线图》**对于从来没有接触过网络安全的同学我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线大家跟着这个大的方向学习准没问题。学习资料工具包压箱底的好资料全面地介绍网络安全的基础理论包括逆向、八层网络防御、汇编语言、白帽子web安全、密码学、网络安全协议等将基础理论和主流工具的应用实践紧密结合有利于读者理解各种主流工具背后的实现机制。​​​​​​网络安全源码合集工具包​​​​视频教程​​​​视频配套资料国内外网安书籍、文档工具​​​好了就写到这了,大家有任何问题也可以随时私信问我!希望大家不要忘记点赞收藏哦!特别声明此教程为纯技术分享本文的目的决不是为那些怀有不良动机的人提供及技术支持也不承担因为技术被滥用所产生的连带责任本书的目的在于最大限度地唤醒大家对网络安全的重视并采取相应的安全措施从而减少由网络安全而带来的经济损失。网络安全学习路线学习资源本文转自网络如有侵权请联系删除。1)如有侵权请联系删除。